[發(fā)布] 墻裂提醒：安裝Redis一定要設(shè)置鑒權(quán)（附中招被黑后應(yīng)對(duì)參考）

Terabyte

最近工作有關(guān)的幾臺(tái)服務(wù)器因?yàn)榘惭bRedis未設(shè)置鑒權(quán)，系統(tǒng)被黑，淪為比特幣挖礦機(jī)的寄生肉雞，慘慘慘！
先看看Redis未設(shè)置鑒權(quán)多么的普遍嚴(yán)重：
全球無驗(yàn)證可直接利用 Redis 分布情況

下載 (47.36 KB)

2017-2-23 22:49

全球無驗(yàn)證可直接利用 Redis TOP 10 國(guó)家與地區(qū)

下載 (32.38 KB)

2017-2-23 22:50

下面說說主要癥狀：
1、CPU使用率保持高位甚至100%， 幾乎是直線；
2、重啟服務(wù)器后很快CPU又被占滿；
3、多個(gè)目錄下多了一些莫名其妙的文件， 用top或ps- aux可以相應(yīng)的看到：
如/tmp下的AnXqV， ddg.219, ddg.xxx, .zl, 在/opt下的minerd

應(yīng)對(duì)方法參考：
1、Redis設(shè)置鑒權(quán), 非常重要
比如授權(quán)IP建議改成bind 127.0.0.1或有限白名單， 決不可設(shè)置成0.0.0.0
同時(shí)一定一定一定要在大約481行設(shè)置：requirepass 你的密碼

2、清除木馬進(jìn)程、文件具體可以參考 http://www.setphp.com/981.htmlhttp://www.icnws.com/?p=189

3、清除系統(tǒng)自動(dòng)加載的設(shè)置/var/spool/cron 和 /etc/rc.d/ 和/etc/.ssh下的各種后門設(shè)置。
具體可以參考 http://security.stackexchange.com/questions/129448/how-can-i-kill-minerd-malware-on-an-aws-ec2-instance
具體步驟轉(zhuǎn)載大神的辦法作為參考。

Terabyte

比較詳細(xì)的方法，轉(zhuǎn)載自：http://www.icnws.com/?p=189

1、關(guān)閉訪問挖礦服務(wù)器的訪問：
iptables -A INPUT -s xmr.crypto-pool.fr -j DROP 和
iptables -A OUTPUT -d xmr.crypto-pool.fr -j DROP

2、找到minerd程序：
find / -name minerd*
發(fā)現(xiàn)程序在/opt下面，同時(shí)發(fā)現(xiàn)另外的一個(gè)異常文件
KHK75NEOiq33和minerd

3、去掉執(zhí)行權(quán)限
chmod -x KHK75NEOiq33 minerd

4、殺掉進(jìn)程，kill或pkill隨你喜歡
pkill minerd
pkill AnXqV

5、清除定時(shí)任務(wù)：
systemctl stop crond

我們的系統(tǒng)因?yàn)闆]有其他定時(shí)任務(wù)，所以可以直接這樣，如果有需要自己手動(dòng)備份自己的定時(shí)任務(wù)，然后清理掉其他的定時(shí)任務(wù)，情景分析后處理

6、清除文件
除了opt下面的兩個(gè)異常文件需要清除，/tmp文件夾下也有文件需要清除，
Aegis-<Guid(5A2C30A2-A87D-490A-9281-6765EDAD7CBA)>   AnXqV   ddg.217   ddg.218   ddg.219   duckduckgo.12.log   duckduckgo.17.log   duckduckgo.18.log   duckduckgo.19.log

這里的文件有個(gè)duckduckgo的，大約是翻墻用的搜索對(duì)應(yīng)的進(jìn)程有ddg.217/218/219

7、清除未知的授權(quán)
進(jìn)入 ~/.ssh/目錄，發(fā)現(xiàn)多個(gè)異常文件，包括authorized_keys、known_hosts等，需要移除authorized_keys中的未知授權(quán)，這里可以看到有REDIS000…的授權(quán)key，我們自己沒有設(shè)置過，所以直接刪除之

8、元兇分析
有說是redis低版本存在的一個(gè)漏洞，有人利用這個(gè)漏洞提升權(quán)限，然后放置了挖礦工具，所以就將默認(rèn)的端口改了，密碼改了，重新啟動(dòng)了服務(wù)，基本上能過一段時(shí)間了

luqiqi

wdcp默認(rèn)沒有redis吧

winran

回復(fù) 1# Terabyte
我是新手，有設(shè)置詳細(xì)教程嗎